CVE-2022-30190 (Follina)

CVE-2022-30190（Follina）の概念実証（PoC）です。

必要条件

被害者

• Windows 10 21H1（同等またはそれ以前）
• セキュリティ更新プログラム KB5016616 が未適用

攻撃者

• Microsoft .NET SDK
• Python 3.9 以降

設定

config.xml を編集して、攻撃者のサーバーのホスト名とポート番号を変更します。

<host>
  <name>{ hostname }</name>
  <port>{ port }</port>
</host>

使用方法

トロイの木馬

次の Python スクリプトは trojan.docx ファイルをビルドし、攻撃者のサーバーを初期化します。

python init.py

ペイロード

以下を使用して、ペイロードをビルドし、不要なバイナリをすべて削除します。

dotnet publish LocalEXF

クリーンアップ

次のバッチスクリプトを実行して、このディレクトリとその中のすべてを完全に削除します。

.\destroy_all.bat

重要な注意事項

• この PoC のような複雑な PowerShell コマンドを実行するには、これらのコマンドは 必ず Base64 エンコードされている必要があります。

• index.html には、<script> タグ内に少なくとも 4096 バイトのデータが含まれている必要があります。

• すべての引数は、href.txt に記述されているとおりに使用する必要があります。

• Microsoft Word では、index.html ファイルを使用して JavaScript を実行することはできません。しかし、何らかの理由で location.href は機能します。

• 長時間実行されるタスクを呼び出すコマンドの場合、被害者がドキュメントを読み込むとトラブルシューティングツールが表示されます。被害者はこのトラブルシューティングツールをキャンセルすると、誤って攻撃を拒否してしまう可能性があります。コマンドの実行時間は短くしてください。